SERVICES.EXE бомбит популярные сайты

Доброго времени суток, господа специалисты! Честно скажу - очень редко обращался за помощью по поводу вирей, ибо стерильность компа - моя шиза и я сам всё прекрасно чистил. Однако в этот раз я запустил рабочий комп, так как использовал долгое время ноутбук, и обнаружил что мой SERVICES.EXE ведёт себя наглым образом - при подключении к интернету начинает усиленно ДДОСить сайты:
google.com
yahoo.com
wikipedia.org
slashdot.org
aol.com
microsoft.com
youtube.com...

...ну и так далее. Спустя какое-то время, приблизительно раз в час, начал долбиться на тонну спамосайтов, названия которых я даже перечислить не смогу и больше всего запросов идёт на
[code]Block activity for application SERVICES.EXE SERVICES.EXE rev.opentransfer.com.*рандомноеайпи*.in-addr.arpa n/a Unknown TCP[/code]

Сам SERVICES.EXE вроде жив-здоров, изменений в нём не производилось... Во всяком случае об этом говорят дата изменения и копирайты мелокософта, посему рискну предположить что это какая-то левая зараза его использует.

До обращения сюда проверялся ДрВебом с последними базами - нашел в папке автозагрузки запрятаный "wwwzuc32.exe" и в папке system32 нашёл "drwat32.exe" - всё изничтожил, однако безобразия не прекратились - думаю, не в них дело...

Пока удалось анально огородить запросы фаерволом, но всётаки хотелось бы стерильности... Поможете?

Выполните скрипт в AVZ (AVZ, Меню Файл\Выполнить скрипт. [URL="http://virusinfo.info/showthread.php?t=7239"]Подробнее...[/URL]):
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drwat32.exe','');
DeleteFile('C:\WINDOWS\system32\drwat32.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Dr.Watson');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
Executerepair(1);
RebootWindows(true);
end.
[/code]
После выполнения скрипта компьютер перезагрузится.
закачайте карантин по ссылке [B][COLOR=Red]Прислать запрошенный карантин[/COLOR][/B] в шапке Вашей темы (Приложение 3 правил).
Повторите действия, описанные в п. 1 - 3 Диагностики и новые логи прикрепите к новому сообщению.

Сделайте лог Gmer

[B]shapel[/B],
[quote]
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\drwat32.exe','');
DeleteFile('C:\WINDOWS\system32\drwat32.exe');[/quote]
Сделал, но смысла в этом не было, так как я уже говорил - файл мною успешно грохнут, разве что ключик остался. Посему в карантине файлы тоже нулевого размера. Лог ГМЕРа приаттачиваю.

Что, собстно, удалось найти ещё:
- Файломоном удалось обнаружить что в c:\WINDOWS\system32\drivers\ каждую секунду обновляется драйвер "gghden.sys" (вес 755200 байт) - ни убить, ни положить в карантин в нормальном режиме низя - если надо - выловлю в безопасном.
- Есть большое подозрение на [URL="http://threatinfo.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=RTKT%5FBUBNIX%2EA&VSect=P"]ЭТОТ[/URL] руткит.

Any ideas?

Сохраните приведённый ниже текст в файл [b]cleanup.bat[/b] в ту же папку, где находится rrhnvu0m.exe случайное имя утилиты (gmer)
[CODE]
rrhnvu0m.exe -del service gghden
rrhnvu0m.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gghden"
rrhnvu0m.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gghden"
rrhnvu0m.exe -reboot
[/CODE]
И запустите сохранённый пакетный файл [b]cleanup.bat[/b].
Внимание: Компьютер перезагрузится!
Сделайте новый лог gmer.

[B]shapel[/B],
Увы! Эти ключи анально огорожены от действий кого бы то ни было по неизвестной причине. ГМЕР ругается что не может их удалить ("Не найден указаный модуль"), а ручками данный раздел реестра даже открыть не получается - "Ошибка открытия раздела". Весёлая вирусня! XD

C:\WINDOWS\system32\drivers\gghden.sys - файл поищите и попробуйте его куда-нибудь скопировать, если получится сделать, то позже пришлите его по правилам.
попробуйте так, Сохраните текст ниже как cleanup.bat в ту же папку, где находится rrhnvu0m.exe (gmer)
[CODE]
rrhnvu0m.exe -del service gghden
rrhnvu0m.exe -del file "C:\WINDOWS\system32\drivers\gghden.sys"
rrhnvu0m.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\gghden"
rrhnvu0m.exe -del reg "HKLM\SYSTEM\ControlSet002\Services\gghden"
rrhnvu0m.exe -reboot[/CODE]И запустите cleanup.bat.
Компьютер перезагрузится!
Сделать новый лог gmer.

Вообщем всё, всем спасибо - проблема решена. Причину вы указали верную, но ни ГМЕР, ни какой-либо другой антивирь с ней нормально не справится. Вот лицо нашего врага - "Trojan.WinSpy.713" по версии Dr.Web. Увидеть и удалить он эту штуку не мог, потому как она каждую секунду обновлялась. В безопасном режиме тоже самое, поэтому я пошёл по пути наименьшего сопротивления - подрубил винт к ноуту и грохнул его - тут то Доктор и завизжал ^^.

Короче, панацея:
- Загрузиццо с ЛайвЦД, грохнуть файл "c:\WINDOWS\SYSTEM32\drivers\gghden.sys"
- Перезагрузиццо
- Удалить ключ "HKLM\SYSTEM\CurrentControlSet\Services\gghden"
- Удалить ключ "HKLM\SYSTEM\ControlSet002\Services\gghden"
- ???
- PROFIT!

З.Ы. - Сувенир на память высылаю по правилам :)

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\black ace\рабочий стол\avz4\gghden.sys - [B]Rootkit.Win32.Bubnix.s[/B] ( DrWEB: Trojan.WinSpy.713, BitDefender: Backdoor.Generic.351368, AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]